SuckerPotSensores
Doze portas. Todas falsas.
Cada serviço responde com banners e versões de aparência real, então os bots vão mais longe do que um simples port scan. Ele registra o que eles fazem e não executa nada disso.
Os doze
Quatro famílias, uma cor cada.
O instalador liga seis por padrão; --sensors all liga todos os doze. No painel, um nome e um ícone diferenciam cada um, para que a cor nunca funcione sozinha.
- Shells remotas
- Web e APIs
- Bancos de dados
- Windows e VoIP
Porta
Serviço
Parece
22SSHOpenSSH 9.6 no Ubuntu, com uma shell falsa
23TelnetUm login de roteador BusyBox
5555ADBUma TV box Android sem autenticação
80WebApache com PHP sem atualização, WordPress, phpMyAdmin
2375DockerUma Docker Engine API exposta
5000SynologyUm NAS com DSM sem atualização
6379RedisRedis 7.2 sem senha
3306MySQLMySQL 8.0 com logins fracos
1433MSSQLSQL Server com logins fracos
3389RDPUm Windows Server com NLA
445SMBUm serviço de arquivos Windows
5060SIPUm sistema telefônico estilo Asterisk
Feito para tráfego hostil
Regras que todo sensor segue.
Garantidas por testes, não só escritas.
- Nada roda. Comandos falsos devolvem saída fixa ou gerada. O que o atacante digita nunca chega a um shell real.
- Nada é buscado. Um comando de download só registra a URL.
- Sem tráfego de saída. Um sensor aceita conexões e nunca faz nenhuma.
- Limites em toda parte. Limites de conexões por sensor e por origem, timeouts em cada leitura e um tamanho máximo para cada campo capturado.
- Porta própria para a fila. Cada sensor só pode escrever no seu próprio stream.
- Uma identidade crível. Nada que um cliente veja menciona o projeto.
- Contêineres endurecidos. Sem root, somente leitura, todas as capacidades removidas, com limites de memória e de processos.
Payloads
Malware vai para quarentena. Nunca para um shell.
Um coletor separado pode buscar uma URL registrada, pela VPN, com limites de tamanho e de tempo. Ele vem desligado por padrão: você é quem liga.
- Guardado pelo seu SHA-256, somente leitura, nunca executado.
- Só análise estática: tipo de arquivo, strings, regras YARA, desofuscação de scripts.
- Os servidores de comando com que ele conversa são extraídos e também podem ser denunciados.
amostra
exemplo falso
- sha256
- 4c1f9e0a…d27b5e83
- tipo
- ELF 32-bit, ARM
- de
- http://198.51.100.23/arm7
- baixado
- pelo túnel VPN
- yara
- mirai_generic (grave)
- c2
- 203.0.113.200:23
- estado
- em quarentena · modo 0400
Coloque-os na internet.
O seu roteador encaminha a porta padrão de cada serviço para a máquina, e o instalador imprime a tabela exata. Nunca encaminhe a porta do painel nem a sua porta SSH de administração.